CISO a zarządzanie ryzykiem cyberbezpieczeństwa

Zdjęcie: CISO a zarządzanie ryzykiem cyberbezpieczeństwa

CISO a zarządzanie ryzykiem cyberbezpieczeństwa to temat, który coraz wyraźniej wykracza poza kompetencje działów IT i trafia na poziom zarządów. Jarosław Chałas w najnowszym artykule zwraca uwagę na adekwatne zdefiniowanie funkcji CISO oraz jej znaczenie w kontekście regulacji takich jak NIS2, DORA czy AI Act. Cyberbezpieczeństwo przez lata było postrzegane przede wszystkim jako zagadnienie techniczne, związane z ochroną infrastruktury, systemów i danych. Dziś takie podejście jest zbyt wąskie. Technologie są integralną częścią działalności przedsiębiorstw, a związane z nimi zagrożenia mogą wpływać na ciągłość działania, relacje z kontrahentami, bezpieczeństwo informacji, zgodność regulacyjną, a w konsekwencji także na decyzje podejmowane przez zarząd. Z tego powodu zmienia się również sposób, w jaki należy patrzeć na funkcję Chief Information Security Officera. CISO a zarządzanie ryzykiem cyberbezpieczeństwa to relacja, której nie należy sprowadzać do odpowiedzialności za infrastrukturę IT. Jak wskazuje Jarosław Chałas, zadaniem CISO powinna być niezależna ocena ryzyka, identyfikowanie słabych punktów organizacji i stawianie pytań dotyczących bezpieczeństwa technologicznego z perspektywy całego przedsiębiorstwa. CISO nie zarządza więc wyłącznie technologią. Jego rola dotyczy przede wszystkim ryzyka, jakie wykorzystanie technologii tworzy dla organizacji. Ma to praktyczne znaczenie dla sposobu umiejscowienia CISO w strukturze firmy. o ile osoba odpowiedzialna za ocenę ryzyka jest jednocześnie odpowiedzialna za obszary, które tej ocenie podlegają, może pojawić się problem z zachowaniem odpowiedniej niezależności funkcji. Dlatego przedsiębiorcy powinni analizować nie tylko sam fakt powołania CISO, ale także zakres jego kompetencji, sposób raportowania, relacje z działem IT oraz dostęp do osób podejmujących decyzje na poziomie zarządczym. Istotne jest jasne rozdzielenie odpowiedzialności operacyjnej od funkcji identyfikowania, oceny i komunikowania ryzyka. Takie spojrzenie nabiera dodatkowego znaczenia w związku z regulacjami dotyczącymi technologii i bezpieczeństwa, w tym NIS2, DORA czy AI Act. Punkt ciężkości przesuwa się z pytania o to, czy konkretne systemy są odpowiednio zabezpieczone, na szerszą kwestię: czy organizacja potrafi adekwatnie identyfikować ryzyka technologiczne, przypisywać odpowiedzialność, zapewniać odpowiedni przepływ informacji oraz umożliwiać zarządowi rzeczywisty nadzór nad bezpieczeństwem. W praktyce oznacza to, iż cyberbezpieczeństwo staje się elementem zarządzania przedsiębiorstwem, a nie wyłącznie domeną specjalistów technicznych. Samo utworzenie stanowiska CISO nie rozwiązuje zatem problemu. Znaczenie ma to, jakie zadania zostaną przypisane tej funkcji i czy przyjęty model organizacyjny pozwala na niezależną ocenę zagrożeń. o ile CISO ma dostarczać zarządowi informacji potrzebnych do podejmowania świadomych decyzji, powinien mieć możliwość przedstawiania ryzyk również wtedy, gdy ich ograniczenie wiąże się z kosztami, zmianą procesów albo koniecznością zakwestionowania wcześniej przyjętych rozwiązań. Z perspektywy przedsiębiorcy cyberbezpieczeństwo wymaga więc połączenia kompetencji technicznych, organizacyjnych i prawnych. Analiza obowiązków wynikających z regulacji powinna iść w parze z oceną wewnętrznego podziału odpowiedzialności, procedur raportowania i zasad nadzoru nad ryzykiem technologicznym. W tym zakresie prawo cyberbezpieczeństwa dla firm obejmuje nie tylko interpretację wymagań regulacyjnych, ale także ich przełożenie na sposób funkcjonowania organizacji i odpowiedzialność poszczególnych osób. O tym, dlaczego adekwatne zdefiniowanie funkcji CISO ma dziś znaczenie nie tylko dla działów IT, ale przede wszystkim dla zarządów, Jarosław Chałas pisze w swoim najnowszym artykule. Dowiedz się więcej: prawo cyberbezpieczeństwa